CVE-2026-86274
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
W projekcie projeto-siga siga do wersji 11.0.2.10/11.0.2.13/11.1.1 wykryto podatność w funkcji ExAutenticacaoController.autenticar pliku sigaex/src/main/java/br/gov/jfrj/siga/vraptor/ExAutenticacaoController.java w komponencie Authentication Flow. Manipulacja argumentami cod/jwt prowadzi do braku autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publiczny. Projekt został poinformowany o problemie, ale nie odpowiedział.
Ocena ryzyka
Atakujący może ominąć mechanizmy autoryzacji, co może prowadzić do nieautoryzowanego dostępu do funkcji systemu i danych.
Rekomendacja
Zaleca się pilne wdrożenie poprawek lub tymczasowych zabezpieczeń, takich jak dodatkowa walidacja tokenów JWT i kontrola dostępu. Należy również monitorować odpowiedź producenta.
Inne podatności w projeto-siga siga
Zobacz wszystkie- CVE-2026-86273Wysokie
W projekcie projeto-siga siga do wersji 11.1.1 wykryto słabość w funkcji DownloadExterno.getUrl w komponencie HTML-to-PDF Endpoint. Manipulacja argumentem html prowadzi do podrobienia żądania po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-6990Niskie
W projekcie projeto-siga siga w wersji 11.0.3.18 wykryto podatność cross-site scripting w nieznanej funkcji pliku /sigawf/app/responsavel/novo. Manipulacja argumentem Nome/Descrição prowadzi do wstrzyknięcia skryptu. Atak można zainicjować zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in projeto-siga siga up to 11.0.2.10/11.0.2.13/11.1.1. This affects the function ExAutenticacaoController.autenticar of the file sigaex/src/main/java/br/gov/jfrj/siga/vraptor/ExAutenticacaoController.java of the component Authentication Flow. Such manipulation of the argument cod/jwt leads to missing authorization. The attack may be launched remotely. The exploit has been disclosed publicly and may be used. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS